Intelligenza artificiale: i nuovi obblighi UE

Il 2 agosto 2025 sono divenute applicabili molte delle previsioni del Reg. UE 2024/1689, il c.d. “AI Act”, con il quale il legislatore comunitario ha cercato di dare una normativa organica e completa circa l’utilizzo dell’intelligenza artificiale.

Scopi e principi del Regolamento

Come dichiarato nel primo considerando del provvedimento, lo stesso persegue tre finalità principali: i) migliorare il funzionamento del mercato interno circa lo sviluppo e l’uso dell’AI; ii) favorire la diffusione di un’AI affidabile, che garantisca la protezione dei diritti fondamentali dell’UE; iii) promuovere l’innovazione.

Per raggiungere questi obiettivi, l’Unione Europea anzitutto fornisce una definizione dei sistemi di intelligenza artificiale (art. 3, n. 1 del Regolamento), sebbene la grande varietà di mercati in cui l’AI trova applicazione e soprattutto la velocità dello sviluppo tecnologico in materia comportino la necessità di aggiornare costantemente la traduzione pratica di tale definizione.

Un primo aiuto chiarificatore è arrivato dalle linee guida della Commissione Europea del 6 febbraio 2025: nelle stesse vengono individuati sette elementi principali (es. sistema basato su una macchina, sistema progettato per operare con vari livelli di autonomia) e due fasi di vita (pre-impiego o “costruzione” del sistema e post-impiego o “utiliizzo” del sistema).

Un altro elemento fondamentale del nuovo Regolamento è il fatto che prevede regole non solo per gli sviluppatori, ma anche per gli utilizzatori dell’AI (“deployer”), dunque per tutti gli enti pubblici e privati che impieghino nelle proprie attività dei sistemi di intelligenza artificiali.

Obblighi in base al grado di rischio

La nuova normativa adotta poi un approccio basato su livelli di rischio, classificando i sistemi AI in quattro categorie:

1. rischio inaccettabile (es. sistemi che sfruttano la vulnerabilità di persone fragili): in relazione a tali sistemi vige dal 2 febbraio 2025 un divieto assoluto di uso/commercializzazione in UE;
2. rischio alto (es. sistemi di selezione automatica del personale, diagnostica automatizzata nella sanità): numerosi obblighi specifici – in capo a sviluppatori, importatori, distributori e utilizzatori;
3. rischio limitato (es. assistenti virtuali, generatori di contenuti audio/video): obblighi di trasparenza verso l’utente, come garantire l’accesso semplificato alle spiegazioni del funzionamento;
4. rischio minimo (es. filtri automatici in mail/social network, funzionalità predittive nei software): nessun obbligo normativo specifico, solo eventuali codici di condotta volontari. 

Con particolare riguardo ai sistemi di rischio alto, si evidenzia che agli utilizzatori viene richiesto, tramite gli obblighi previsti dal corposo art. 26, di attrezzarsi al fine di usare i sistemi conformemente alle istruzioni che li accompagnano, ad esempio tramite la sorveglianza umana degli stessi e la formazione adeguata del personale interessato. Si sottolinea che in caso di utilizzo sul luogo di lavoro è necessario informare i lavoratori interessati e i rappresentanti dei lavoratori. L’art. 27 del regolamento prescrive poi per gli utilizzatori l’obbligo, con riferimento ad alcuni sistemi, di effettuare preventivamente una valutazione d’impatto sui diritti fondamentali, da integrare eventualmente a quella fatta ai sensi del GDPR.

Conseguenze per le aziende

Anche per evitare di incorrere nelle sanzioni previste nel capo XII del Reg. UE 2024/1689, le aziende sono tenute a:

• mappare i sistemi di AI utilizzati (o eventualmente sviluppati/forniti), individuando il livello di rischio e gli obblighi applicabili;
• progettare programmi formativi per il proprio personale conformi ai requisiti di alfabetizzazione sull’AI;
• implementare sistemi per monitoraggio e documentazione delle attività svolte con l’aiuto dell’AI, che non siano in conflitto ma anzi integrino il sistema di compliance già presente in azienda, in particolare con riferimento al d. lgs. 231/2001 e al GDPR;
• aggiornarsi sulle linee guida delle autorità competenti e prevedere un piano di adeguamento alle future disposizioni dell’AI Act.

Per qualsiasi chiarimento, contattami!